ITサービスマネージャ 2017年 午前2 問24

コードサイニング証明書【午前2解説】

正解の理由

解法ステップ

1. 設問の目的が「ソフトウェアの発行元確認」であることを押さえます。
2. ソフトウェアやプログラムへの署名に使う証明書を考えます。
3. コードに署名するための証明書であるコードサイニング証明書を選びます。

選択肢別の誤答解説

• ア：EV SSL証明書
  Webサイトの運営組織の実在性などを厳格に確認するための証明書です。ソフトウェアの署名に使う証明書ではありません。
• イ：クライアント証明書
  利用者や端末などのクライアントを認証するための証明書です。ソフトウェアの発行元確認とは用途が異なります。
• ウ：コードサイニング証明書
  ソフトウェアの発行元を確認し、署名後に改ざんされていないことを検証するための証明書です。
• エ：サーバ証明書
  Webサーバなどの正当性を確認し、通信の暗号化に利用する証明書です。ソフトウェアへの署名には使いません。

よくある誤解

• 証明書があれば、ソフトウェアが安全だと保証される
  発行元や署名後の改ざんの有無を確認できますが、ソフトウェア自体に不具合や悪意ある機能がないことまでは保証しません。
• Webサイト用の証明書なら、ソフトウェアの発行元も確認できる
  サーバ証明書やEV SSL証明書は、主にWebサイトやサーバの認証に使われます。ソフトウェアへの署名にはコードサイニング証明書を使います。
• 署名が有効なら、配布されたファイルが必ず安全である
  署名の有効性は、発行元の確認や署名後の改変検知に役立ちます。利用するソフトウェアの安全性は、別途確認が必要です。

補足コラム

FAQ